【文章內(nèi)容簡介】 性的作用。選擇適合校園網(wǎng)絡(luò)需求特點的主流網(wǎng)絡(luò)技術(shù)，不但能保證網(wǎng)絡(luò)的高性能，還能保證網(wǎng)絡(luò)的先進(jìn)性和擴展性，能夠在未來向更新技術(shù)平滑過渡，保護(hù)用戶的投資。 目前在局域網(wǎng)絡(luò)上應(yīng)用最廣泛的技術(shù)有以太網(wǎng)、快速以太網(wǎng)、 FDDI、 Token Ring 以及最新崛起的 ATM（異步傳輸模式）、千兆以太網(wǎng)等。 快速以太網(wǎng)是一種非常成熟的組網(wǎng)技術(shù)，造價很低，性能價格比很高，可作為資金不很充裕的中小型單位組建 Intra 網(wǎng)的首選技術(shù)。快速以太網(wǎng)技術(shù)現(xiàn)在被廣泛用于大 型企業(yè)網(wǎng)的二級、三級網(wǎng)絡(luò)組網(wǎng)或直接連至桌面工作站。 在選擇校園校區(qū)網(wǎng)絡(luò)技術(shù)時應(yīng)該考慮如下： 網(wǎng)絡(luò)工程課程設(shè)計 5 長遠(yuǎn)來看如何保護(hù)現(xiàn)有投資，保護(hù)現(xiàn)有投資的有效途徑就是在將來網(wǎng)絡(luò)技術(shù)升級時還能使用現(xiàn)有的網(wǎng)絡(luò)技術(shù)和產(chǎn)品。如同計算機的發(fā)展速度一樣，網(wǎng)絡(luò)技術(shù)的發(fā)展也是非常迅速的。 結(jié)合本校園實際情況，信息點不是很多，且 學(xué)校不是很大， 就目前來說，樓宇相對集中，建筑物之間的分布距離不算遠(yuǎn)，樓宇層數(shù)也不多，所以，校園網(wǎng)主干用 快速 以太網(wǎng)技術(shù)完全能滿足本校的網(wǎng)絡(luò)需求，主干中的 路由器和 交換機 都 具備升級為 千 兆功能，為網(wǎng)絡(luò)以后的升級改造留有充足的空間。 網(wǎng)絡(luò)工程課程設(shè)計 6 2 邏輯設(shè)計 網(wǎng)絡(luò)拓?fù)湟?guī)劃 根據(jù)對 興義市龍盤中學(xué) 的校園實際情況，以及項目的需求分析，對 興義市龍盤 中學(xué)校園進(jìn)行網(wǎng)絡(luò)拓?fù)湟?guī)劃。要求符合需求分析，符合進(jìn)行設(shè)備的布局。 物理分布圖 根據(jù)校園實際樣貌，畫出校園物理平面圖： 圖 興義市龍盤中學(xué)物理平面圖 計算機實驗室是學(xué)校的網(wǎng)絡(luò)信息中心，校園網(wǎng)絡(luò)的主要網(wǎng)絡(luò)及設(shè)備都在計算機實驗室里，畫出計算機實驗室的機柜布置圖及實驗室平面布置圖： 網(wǎng)絡(luò)工程課程設(shè)計 7 圖 機柜布置圖 圖 計算機實驗室平面圖 網(wǎng)絡(luò)工程課程設(shè)計 8 圖 計算機實驗室布 線圖 網(wǎng)絡(luò)拓?fù)? 根據(jù)學(xué)校情況，規(guī)劃校園網(wǎng)絡(luò)，畫出網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖。 網(wǎng)絡(luò)工程課程設(shè)計 9 圖 興義市龍盤中學(xué)網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D 表 21 網(wǎng)絡(luò)拓?fù)鋱D圖例 圖例 符號 數(shù)量 說明 符號 數(shù)量 說明 1 Inter 1 電子郵件服務(wù)器 1 路由器 1 顯示器 1 防火墻 1 機柜 2 核心交換機 N PC 13 工作組交換機 1 通信鏈路 1G 1 Web 服務(wù)器 1Gb/s 1 FTP 服務(wù)器 100Mb/s 網(wǎng)絡(luò)工程課程設(shè)計 10 IP 規(guī)劃和命 名模型設(shè)計 根據(jù)網(wǎng)絡(luò)拓?fù)鋱D并結(jié)合校園各個部門主機數(shù)，考慮合理分配和可擴展性，給校園網(wǎng)劃分IP 地址并劃分 VLAN。并給服務(wù)器做命名規(guī)劃。 網(wǎng)絡(luò)地址分配 學(xué)校所在地郵編為 562400。故將學(xué)校接入 Inter 分到的 IP 網(wǎng)段假設(shè)為 。 根據(jù)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，并結(jié)合各個部門需要的主機數(shù)，再考慮到可擴展性，最小子網(wǎng)劃分 62 個主機 IP（服務(wù)器除外），將子網(wǎng)劃分如下： 表 22 IP地址規(guī)劃表 就目前學(xué)校情況來看，樓宇集中，各個部門都沒有零散的分布情況，可以不需要劃分VLAN，但考慮以后發(fā)展的情況，可將幾個可能用到 VLAN 的劃分如下： 表 23 VLAN劃分 VLAN 號 VLAN 名 網(wǎng)絡(luò)號 網(wǎng)關(guān) VLAN2 計算機實驗室 VLAN3 教室宿舍 VLAN4 教室辦公室 如有需要，也還可以照此劃分其它 VLAN。 名稱 主機個數(shù) 給予個數(shù) 子網(wǎng)號 掩碼 CIDR 地址 主機地址范圍 計算機實驗室 41 254 ～ 教室宿舍 25 254 ～ 教室辦公室 20 254 ～ 后勤處 3 62 ～ 財務(wù)處 3 62 ～ 政教處 4 62 ～ 教務(wù)處 5 62 ～ 服務(wù)器 3（網(wǎng)卡） 14 ～ 網(wǎng)絡(luò)工程課程設(shè)計 11 分好 IP 后的拓?fù)鋱D如下： 圖 網(wǎng)絡(luò)拓?fù)鋱D IP 命名設(shè)計 Web 服務(wù)器的域名為： FTP 服務(wù)器的域名為： 郵件服務(wù)器的域名為： mail. 交換和路由協(xié)議設(shè)計規(guī)劃 交換協(xié)議的選擇 根據(jù)我們對興義市龍盤中學(xué)的需求分析和網(wǎng)絡(luò)拓?fù)鋱D的設(shè)計，我們對校園網(wǎng)絡(luò)進(jìn)行了IP 地址和 VLAN 的劃分，并使用 VLAN 中繼協(xié)議 VTP（ VLAN Trunking Protocol）來實現(xiàn)網(wǎng)絡(luò)工程課程設(shè)計 12 交換機之間交換信息。 VLAN 中繼協(xié)議 VTP 作用是：十幾臺交換機在企業(yè)網(wǎng)中，配置 VLAN工作量大，使用 VTP 協(xié)議，把一臺交換機配置成 VTP Server, 其余交換機配置成 VTP Client，這樣 VTP Client 可以自動學(xué)習(xí)到 VTP Server 上的 VLAN 信息。采用 VTP 協(xié)議可以簡化配置。 VTP 有三種工作模式：服務(wù)器模式、客戶機模式和透明模式，本次設(shè)計默認(rèn)是服務(wù)器模式。 服務(wù)器模式提供 VTP 消息，包括 VLAN ID 和名字信息，學(xué)習(xí)相同域名的 VTP 消息，轉(zhuǎn)發(fā)相同域名的 VTP 消息，可以添加、刪除和更改 VLAN， VLAN 信息寫入 NVRAM 該模式下不能使用擴展。 客戶機模式的內(nèi)容是請求 VTP 消息，學(xué)習(xí)相同域名的 VTP 消息，轉(zhuǎn)發(fā)相同域名的 VTP消息，不可以添加、刪除和更改 VLAN,VLAN 信息不會寫入 NVRAM，該模式下不能使用增強型軟件映像提供的 VID，即只能使用 21001 這一段的值。 1， 10021005 均為系統(tǒng)默認(rèn)VID，要使用 10064096 作 VID 的值，只能關(guān)閉 VTP 或采用透明模式。 透明模式不提供 VTP 消息，不學(xué)習(xí) VTP 消息，轉(zhuǎn)發(fā) VTP 消息，可以添加、刪除和更改 VLAN，只在本地有效 VLAN 信息寫入 NVRAM，新交換機出廠時的默認(rèn)配置是預(yù)配置為 VLAN1， VTP 模式為服務(wù)器。當(dāng)交換機是在 VTP Server 或透明的模式，能在 交換機配置 VLAN。當(dāng)交換機配置在 VTP Server 或透明的模式，使用 CLI、控制臺菜單、 MIB 修改VLAN 配置。 路由協(xié)議選擇 路由器的作用是用于網(wǎng)絡(luò)的互連，每個路由器與兩個以上的實際網(wǎng)絡(luò)相連，負(fù)責(zé)在這些網(wǎng)絡(luò)之間轉(zhuǎn)發(fā)數(shù)據(jù)報，為經(jīng)過路由器的每個數(shù)據(jù)幀尋找一條最佳傳輸路徑，并將該數(shù)據(jù)有效地傳送到目的站點。由此可見，選擇最佳路徑的策略即路由算法是路由器的關(guān)鍵所在。 常用的動態(tài)路由協(xié)議有 RIP、 IGRP、 EIGRP、 OSPF 等，他們都屬于內(nèi)部網(wǎng)關(guān)協(xié)議 。 根據(jù) 興義市龍盤 中學(xué)的校園網(wǎng)絡(luò)建設(shè)要求，我們選 用距離向量路由協(xié)議中的 RIP 協(xié)議作為校園網(wǎng)的內(nèi)部網(wǎng)關(guān)協(xié)議。 RIP 的算法簡單，但在路徑較多時收斂速度慢，廣播路由信息時占用的帶寬資源較多，它適用于網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)相對簡單且數(shù)據(jù)鏈路故障率極低的小型網(wǎng)絡(luò)中，在大型網(wǎng)絡(luò)中，一般不使用 RIP。 RIP 協(xié)議是基于距離矢量算法的，它使用“跳數(shù)”，即 metric 來衡量到達(dá)目標(biāo)地址的路由距離。這種協(xié)議的路由器只關(guān)心自己周圍的世界，只與自己相鄰的路由器交換信息，范圍網(wǎng)絡(luò)工程課程設(shè)計 13 限制在 15 跳 (15 度 )之內(nèi)，再遠(yuǎn)，它就不關(guān)心了。 RIP 應(yīng)用于 OSI 網(wǎng)絡(luò)七層模型的網(wǎng)絡(luò)層。 RIP 通過廣播 UDP 報文來 交換路由信息，每 30 秒發(fā)送一次路由信息更新。 RIP 提供跳躍計數(shù)作為尺度來衡量路由距離，跳躍計數(shù)是一個包到達(dá)目標(biāo)所必須經(jīng)過的路由器的數(shù)目。如果到相同目標(biāo)有二個不等速或不同帶寬的路由器，但跳躍計數(shù)相同，則 RIP 認(rèn)為兩個路由是等距離的。 RIP 最多支持的跳數(shù)為 15，即在源和目的網(wǎng)間所要經(jīng)過的最多路由器的數(shù)目為 15，跳數(shù) 16 表示不可達(dá)。 安全策略設(shè)計 構(gòu)建全程全網(wǎng)的訪問控制體系是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略，它的主要任務(wù)是保證網(wǎng)絡(luò)資源不被非法使用和訪問。它是保證網(wǎng)絡(luò)安全最重要的核心策略之一。 通信網(wǎng)絡(luò)安全 在外網(wǎng)與內(nèi)網(wǎng)之間使用防火墻，可以使校園網(wǎng)外部網(wǎng)絡(luò)不能隨便訪問內(nèi)網(wǎng)，以至不能隨意訪問服務(wù)器；在交換機與交換機之間劃分了 Vlan，使不同區(qū)域樓層之間在沒有經(jīng)過路由選擇之后不能互相共享信息。加強網(wǎng)絡(luò)的安全管理，制定有關(guān)規(guī)章制度，對于確保網(wǎng)絡(luò)的安全、可靠地運行，將起到十分有效的作用。 服務(wù)器安全 防火墻具有很好的保護(hù)作用，入侵者必須首先穿越防火墻的安全防線，才能接觸目標(biāo)計算機。在外網(wǎng)與內(nèi)網(wǎng)之間加入防火墻，可以保證內(nèi)網(wǎng) 和 服務(wù)器的安全 ，不受外部攻擊 。 將服務(wù)器接在防火墻上，也可以保證服務(wù)器不受 內(nèi)網(wǎng)的攻擊。 可以將防火墻配置成許多不同保護(hù)級別。 為了保證服務(wù)器的安全，我們可以把 HTTP/TCP 80 端口列入防火墻的例外，把 FTP 的21 端口修改并且把它列為例外；禁用默認(rèn)共享，修改文件權(quán)限。 應(yīng)用安全 應(yīng)用安全，就是保障程序在運行過程和運行結(jié)果的安全，就是針對應(yīng)用程序或工具在使用過程中可能出現(xiàn)計算、傳輸數(shù)據(jù)的泄露和失竊，通過其他安全工具或策略來消除隱患。 網(wǎng)絡(luò)工程課程設(shè)計 14 網(wǎng)絡(luò)管理員可以通過用戶密碼策略、用戶安全策略、訪問控制策略來保證服務(wù)器的穩(wěn)定性以及限定用戶安全訪問應(yīng)用程序的安全設(shè)置。 1. 用戶密碼策 略 身份驗證不僅是網(wǎng)絡(luò)應(yīng)用安全首先要解決的問題，還是最重要的階段，對大部分網(wǎng)絡(luò)應(yīng)用而言，用戶驗證包括用戶 ID 和密碼兩部分。用戶密碼策略用于應(yīng)用接入平臺的身份模塊，它確定用戶的用戶名和密碼設(shè)置。 2. 用戶安全策略 用戶安全策略用于權(quán)限設(shè)置，它確定用戶身份權(quán)限設(shè)置，例如：訪問硬盤中的文件，用戶身份能運行哪個業(yè)務(wù)程序等設(shè)置。 3. 訪問控制策略 訪問控制是網(wǎng)絡(luò)應(yīng)用使用驗證方法來接受或拒絕對內(nèi)容和功能訪問的過程。以下是兩種主要的訪問控制方法： （ 1）路徑挖掘（一般用于無法直接訪問的文件） （ 2） 客戶端緩存（限制緩存） 接入安全 選擇一個全 千兆安全智能接入交換機，在提供高性能、高帶寬的同時，提供智能的流分類、完善的服務(wù)質(zhì)量（ QoS）和組播應(yīng)用管理特性，并可以根據(jù)網(wǎng)絡(luò)的實際使用環(huán)境，實施靈活多樣的安全控制策略，有效防止和控制病毒傳播和網(wǎng)絡(luò)攻擊，控制非法用戶接入和使用網(wǎng)絡(luò)，保證合法用戶合理化使用網(wǎng)絡(luò)資源，充分保障了網(wǎng)絡(luò)高效安全、網(wǎng)絡(luò)合理化使用和運營。 管理策略設(shè)計 校園網(wǎng)絡(luò)管理的主要目的是保證網(wǎng)絡(luò)安全和穩(wěn)定運行，維持網(wǎng)絡(luò)傳輸速率、降低網(wǎng)絡(luò)傳輸誤碼、網(wǎng)絡(luò)流量異常監(jiān)控等。所以校園網(wǎng)絡(luò)管理部門的技術(shù)人員應(yīng)該熟 悉常用的網(wǎng)絡(luò)監(jiān)控工具和路由器、交換機、防火墻等網(wǎng)絡(luò)設(shè)備所具有的網(wǎng)絡(luò)安全控制模塊對整個網(wǎng)絡(luò)進(jìn)行管理。 配置管理 配置管理是管理所有的網(wǎng)絡(luò)設(shè)備，隨時掌握網(wǎng)絡(luò)內(nèi)的網(wǎng)絡(luò)設(shè)備的增減和變動，對所有的網(wǎng)絡(luò)工程課程設(shè)計 15 網(wǎng)絡(luò)設(shè)備進(jìn)行參數(shù)配置，并對設(shè)備的數(shù)據(jù)參數(shù)要嚴(yán)格備份。當(dāng)故障發(fā)生時，技術(shù)人員可以快速重設(shè)恢復(fù)，保障網(wǎng)絡(luò)的正常運行。 配置管理過程是對處于不斷演化、完善過程中的軟件產(chǎn)品的管理過程。其最終目標(biāo)是實現(xiàn)軟件產(chǎn)品的完整性、一致性、可控性，使產(chǎn)品極大程度地與用戶需求相吻合。它通過控制、記錄、追蹤對軟件的修改和每個修改生成的軟 件組成部件來實現(xiàn)對軟件產(chǎn)品的管理功能。 配置管理的流程是 : 1. 制定配置管理計劃 配置管理員制定《配置管理計劃》，主要內(nèi)容包括配置管理軟硬件資源、配置項計劃、基線計劃、交付計劃、備份計劃等，通過 CCB 審批該計劃。 2. 配置庫管理 配置管理員為項目創(chuàng)建配置庫，并給每個項目成員分配權(quán)限；各項目的成員根據(jù)自己的權(quán)限操作配置庫。配置管理員需要定期維護(hù)配置庫，例如清除垃圾文件、備份配置庫等。 3. 版本控制 在項目開發(fā)過程中，絕大部分的配置項都要經(jīng)過多次的修改才能最終確定下來，對配置項的任何修改都將產(chǎn)生新的版本。 由于我們不能保證新版本一定比老版本“好”，所以不能拋棄老版本。配置項的狀態(tài)有三種：“草稿”、“正式發(fā)布”和“正在修改”。 版本控制的目的是按照一定的規(guī)則保存配置項的所有版本，避免發(fā)生版本丟失或混淆等現(xiàn)象，并且可以快速準(zhǔn)確地查找到配置項的任何版本。 4. 變更控制 在項目開發(fā)過程中，配置項發(fā)生變更幾乎是不可避免的，而變更控制的目的就是為了防止配置項被隨意修改而導(dǎo)致混亂。 5. 配置審計 為了保證所有人員（包括項目成員、配置管理員和 CCB）都遵守配置管理規(guī)范，質(zhì)量保證人員要定期審計配置管理工作。配置審計是一種“ 過程質(zhì)量檢查”活動，是質(zhì)量保證人員的工作職責(zé)之一。 認(rèn)證管理 認(rèn)證管理功能是只允許通過認(rèn)證的內(nèi)網(wǎng)用戶上網(wǎng)，禁止未授權(quán)的用戶訪問互聯(lián)網(wǎng)。認(rèn)證方式可分為身份認(rèn)證（用戶名 +密碼）、 MAC 地址認(rèn)證、 IP 地址認(rèn)證等方式。 網(wǎng)絡(luò)工程課程設(shè)計 16 PPPoE 服務(wù)器提供了認(rèn)證上網(wǎng)的功能，內(nèi)網(wǎng)計算機使用正確的用戶名和密碼，通過PPPoE 撥號到路由器進(jìn)行認(rèn)證，從而獲取上網(wǎng)權(quán)限。 認(rèn)證管理功能主要用于教室宿舍的認(rèn)證。 計費管理 計時計費管理可以掌握每個用戶網(wǎng)絡(luò)使用時間，對各局部網(wǎng)絡(luò)做出使用統(tǒng)計，控制和規(guī)范了每個用戶的上網(wǎng)。 在商業(yè)性有償使用的網(wǎng)絡(luò)上，計費管